IPSec em vários endereços IP OpenVZ, usando 127.0.0.2 em venet0

Question 1

Você não especificou, mas pelo seu ifconfig -atrecho podemos assumir que você está executando o ipsec dentro do OpenVZ VE, não no nó de hardware (HN). Só para ter certeza - você deu uma olhada no delesrecomendaçãopara esse tipo de configuração?
Os modelos do OpenVZ para VEs às vezes são realmente alucinantes. Perguntei aos desenvolvedores por que alguém iria querer usar IPs de intervalo 127/8 em interfaces sem loopback, mas a resposta deles foi "bem, não sabemos, alguém adicionou e é legado agora". Merda absoluta. Você pode remover com segurança esse "kludge" 127.0.0.2 da interface em questão, ele não faz nada: ip ad del 127.0.0.2/32 dev venet0. O problema é que, a cada reinicialização do VE, essa porcaria boba seria adicionada novamente. Se você estiver controlando o nó de hardware, poderá definir o modelo para algo que não acione o "kludge" contendo a configuração de rede. Se você não o estiver controlando, a solução alternativa é colocar esse "ip ad del" em algo como /etc/rc.locale reiniciar o ipsec.

Answer

Você não especificou, mas pelo seu ifconfig -atrecho podemos assumir que você está executando o ipsec dentro do OpenVZ VE, não no nó de hardware (HN). Só para ter certeza - você deu uma olhada no delesrecomendaçãopara esse tipo de configuração?
Os modelos do OpenVZ para VEs às vezes são realmente alucinantes. Perguntei aos desenvolvedores por que alguém iria querer usar IPs de intervalo 127/8 em interfaces sem loopback, mas a resposta deles foi "bem, não sabemos, alguém adicionou e é legado agora". Merda absoluta. Você pode remover com segurança esse "kludge" 127.0.0.2 da interface em questão, ele não faz nada: ip ad del 127.0.0.2/32 dev venet0. O problema é que, a cada reinicialização do VE, essa porcaria boba seria adicionada novamente. Se você estiver controlando o nó de hardware, poderá definir o modelo para algo que não acione o "kludge" contendo a configuração de rede. Se você não o estiver controlando, a solução alternativa é colocar esse "ip ad del" em algo como /etc/rc.locale reiniciar o ipsec.

Question 2

Dehttps://lists.openswan.org/pipermail/users/2010-June/018901.html

Quando o Openswan é iniciado, parece que ele escolhe o primeiro endereço IP na interface br0 para anunciar o que está escolhendo. Caso escolha errado um dia desses, como posso dizer definitivamente qual endereço IP em qual interface? Ou este é apenas um anúncio de abertura e não preciso me preocupar com isso?

Ele se liga a todos os endereços configurados na inicialização. Se um endereço for adicionado posteriormente, atualmente, Plutão precisa ser informado para revinculá-lo com "ipsec whack --listen"

ipsec_setup: vários endereços IP, usando 10.0.0.10 em br0

A mensagem é um pouco confusa. Ele "usará" o endereço IP do qual recebeu um pacote ao responder e usará o endereço IP "mais próximo" ao iniciar ao usar "%defaultroute". Se usará o ip ou o nome do host resolvido ip se especificado no conn.

É possível que suas interfaces OpenVZ não estejam sendo vinculadas automaticamente porque não existem na inicialização.

Além disso, você pode forçá-lo a escutar apenas um IP editando seu /etc/ipsec.confarquivo, adicionando a especificação correta XX.XX.XX.XX ou interface venet0:X usando as diretivas listen=XX.XX.XX.XXou interface=venet0:Xna config setupseção.

http://linux.die.net/man/5/ipsec.conf

Answer

Dehttps://lists.openswan.org/pipermail/users/2010-June/018901.html

Quando o Openswan é iniciado, parece que ele escolhe o primeiro endereço IP na interface br0 para anunciar o que está escolhendo. Caso escolha errado um dia desses, como posso dizer definitivamente qual endereço IP em qual interface? Ou este é apenas um anúncio de abertura e não preciso me preocupar com isso?

Ele se liga a todos os endereços configurados na inicialização. Se um endereço for adicionado posteriormente, atualmente, Plutão precisa ser informado para revinculá-lo com "ipsec whack --listen"

ipsec_setup: vários endereços IP, usando 10.0.0.10 em br0

A mensagem é um pouco confusa. Ele "usará" o endereço IP do qual recebeu um pacote ao responder e usará o endereço IP "mais próximo" ao iniciar ao usar "%defaultroute". Se usará o ip ou o nome do host resolvido ip se especificado no conn.

É possível que suas interfaces OpenVZ não estejam sendo vinculadas automaticamente porque não existem na inicialização.

Além disso, você pode forçá-lo a escutar apenas um IP editando seu /etc/ipsec.confarquivo, adicionando a especificação correta XX.XX.XX.XX ou interface venet0:X usando as diretivas listen=XX.XX.XX.XXou interface=venet0:Xna config setupseção.

http://linux.die.net/man/5/ipsec.conf

IPSec em vários endereços IP OpenVZ, usando 127.0.0.2 em venet0

Responder1

Responder2

informação relacionada